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@ Anordnung fur den Zugriffsschutz fur Sicherheitsmodule 

@ Anordnung fur den Zugriffsschutz fur Sicherheitsmo- 
dule, tnsbesondere zur Verhinderung des Auslesens Oder 
der unberechtigten Manipulation sicherheltsrelevanter 
Daten. 

Derartige Module werden beispielsweise in ASICS in 
Frankiermaschinen Oder in Geldautomaten eingesetzt. 
Zweck ist eine Verbesserung der Manipulationsslcherhelt 
Aufgabengemali soli fur Gerate mit Sicherheitsmodulen 
beliebiger GroBe ein wirksamer Zugriffsschutz mit geziel- 
ter Manipulatlonsmdglichkett und unter Verzicht auf zu- 
satzliche Battehen langer Lebensdauer errelcht werden. 
ErfindungsgemaQ ist mindestens ein Sicherheitsmodul 1 
von einem Gehause 2 mit einem VerschluB 23 umgeben, 
der mechanisch mit mindestens einem Plezoelement 3 
gekoppelt 1st das wiederum elektrisch mit dem Sicher- 

■ heltsmodul 1 zwecks gezlelter Manipulation der sicher- 

■ heltsrelevanten Daten verbunden ist. 
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Die Erfindung betrifft eine Anordnung fur den Zugriffs- 
schutz fur Sicherheitsmodule, insbesondere zur Verhinde- 
rung des Auslesens oder der unberechtigten Manipulation 5 
sicherheitsrelevanter Daten. Die Sicherheitsmodule sind in 
der Regel als physikalisch abgeschlossene Einheiien ausge- 
fuhrt. Die Daten konnen sicherheitslevante Teile eines Ma- 
schinenprogramms, Guthabenwerte oder andere sicherheiis- 
relevante Funktionen belreffen. lO 

Derartige Module warden beispielsweise in ASICS in 
Frankiermaschinen oder in Geldautomalen eingesetzt. 

Zum allgemeinen Schutz und zum Schutz gegen Manipu- 
lationen werden diese Module iiblicherweise mit einer aus- 
hartenden VerguBmasse umgeben. siehe EP 0 717 370 A2. 15 
Die VerguBmasse isl in der Regel ein Epoxydharz oder ein 
anderer geeigneter Plast. 

Damit werden Manipulationen zwar erschwert, jedoch 
nicht verhinderi. 

Um Manipulationen an derartigen Sicherheitsmodulen 20 
vomehmen zu konnen, wurde man zunachst den Modul ei- 
ner Rontgenuntersuchung unterziehen und anschlieBend an 
den fiir einen Zugang geeigneien Stellen aufschleifen oder 
aufbohren. Weiierfiin besteht noch die Moglichkeit der Be- 
einflussung iiber die elektiischen Anschliisse. 25 

Eine andere bekannte SchutzmaBnahme besteht darin, 
den Modul mil einer Folic mit einem maanderformigen Lei- 
ter hoher Packungsdichte zu umschlieBen und mit diesem 
elektrisch zu koppeln, siehe Bennet Yee "Using Secure Co- 
processors" May 1994 CMU-CS-94-149, School of Compu- 30 
ter Science Carnegie Mellon University Pittsburgh, page 7. 

Der Leiter wird von einer Langlebensdauerbatterie ge- 
speist. Bei Durchtrennung an iigendeiner Stelle werden der 
Stromkreis unterbrochen und infolgedessen die sicherheits- 
lelevanten Daten im Modul gezielt manipuliert bis hin zur 35 
vollstandigen Loschung derselben. 

Diese Losung erfordert eine zuverlassige Stromquelle. 
Der Einsatz deraitiger Maanderfolien ist auf Grund der mi- 
nimal zulassigen Biegewinkel nur fur relativ groBe Bauein- 
heiten moglich. ^ 

Zweck der Erfindung ist eine Verbesserung der Manipula- 
tionssicherheit 

Der Erfindung liegl die Aufgabe zugrunde, eine Anord- 
nung fiir Gerate mit Sicheriieitsmodulen beliebiger GroBe 
zu schaffen, mit der ein wirksamer Zugriffsschutz mit ge- 45 
zielier Manulationsmoglichkeit und unter Verzicht auf zu- 
satzliche Batterien langer Lebensdauer erreicht wird. 

ErfindungsgemaB wird diese Aufgabe gemaB dem Haupt- 
anspruch gelost. Weitere vorteilhafte Merkmale der Erfin- 
dung sind den Unteranspriichen zu entnehmen. 50 

Die elektrische Kopplung des Sicherheitsmoduls mit ei- 
nem unaufTallig angeordneten Piezoelement, das wiederum 
auf einfache Weise mit einem Ublichen VerschluB, beispiel- 
weise in Form einer Gewindeschraube, mechanisch gekop- 
pelt ist, fiihrt zu einem unerwartet wirksamen Schutz des er- 55 
sieren. Eine Energiequelle ist nicht erforderlich da die beno- 
tigte Energie vom unberechtigten Manipulator selbst in 
Form der mechanischen Energie zur Ldsung des Verschlus- 
ses geliefert die dann teilweise durch das Piezoelement in 
elektrische Energie zur Manipulation des Sicherheitsmoduls 60 
umgewandell wird. 

Die Erfindung wird nachstehend am Ausfuhrungsbeispiel 
naher erlautert. 

Es zeigen: 

Fig. 1 Ein Prinzipbild der erfindungsgemaBen Anord- 65 
nung. 

Fig. 2 ein Prinzipbild der erfindungsgemaBen Anordnung 
mit separater Manipulationsschaltung, 


Fig. 3 einen Langsschnitt des Verschlusses nebst Betati- 
gungselement gemaB Detail AA in Fig. 2, 

Fig. 4 einen Querschnitt des Verschlusses nebst Betati- 
gungselement und Piezoelement und Kondensator, 

Fig. 5 ein Prinzipschaltbild der erfindungsgemaBen An- 
ordnung. 

Zur Vereinfachung und zum leichteren Verstandnis ist die 
Darstellung schematisiert ausgefuhrt. 

GemaB Fig. 1 besteht die erfindungsgemaBe Anordnung 
im wesentlichen aus einem Sicherheitsmodul 1, einem Pie- 
zoelement 3 und einem zugehorigen Betatigungselement 5 
sowie einem alles umgebenden Gehause 2. Das Piezoele- 
ment 3 und der Sicherheitsmodul 1 sind iiber eine Platine 6 
miieinander elektrisch verbunden. 

Das Gehause 2 ist aus einer Gehausekappe 21, einem Ge- 
hauseboden 22 sowie einem VerschluB 23 zusanmienge- 
setzt, der uber das Betatigungselement 5 mit dem Piezoele- 
ment 3 mechanisch gekoppelt ist. 

Bei Offnung des Verschlusses 23 wird das Betatigungs- 
element 5 mechanisch ausgelost, das wiederum das Piezo- 
element 3 verformt, deren Piezospannung dann zur elektri- 
schen Beeinflussung des Sicherheitsmoduls 1 dient. 

In Fig. 2 ist zwischen den Sicherheitsmodul 1 und das 
Piezoelement 3 eine separate Manipulationsschaliung 4 ge- 
schaltet. Dadurch werden bessere Moglichkeiten fiir eine 
Spannungsanpassung und eine Variation der gezielten Mani- 
pulation geschaffen. 

Entsprechend Fig. 3 besteht der VerschluB 23 im wesent- 
lichen aus einer metallischen Dose 230 mit einem Hohlzy- 
linder 235 aus einem nichtleitenden KunststofF und einer 
Gewindeschraube 237. In der Dose 230 sind sowohl das Pie- 
zoelement 3 als auch dessen Betatigungselement 5 angeord- 
net, siehe auch Fig. 4. 

Das Betatigungselement 5 isl als metallische Spiralfeder 
mil abgewinkelten Enden 51, 52 ausgefiihrt. 

Die Dose 230 ist seitlich mit ihrer OfiFnung auf den Ge- 
hauseboden 22 aufgeselzt. Die Gehausekappe 21 wird mit- 
tels der Gewindeschraube 237 gegen den Gehauseboden 22 
gedriickt, der mit einem Gewindeloch 221 versehen ist. 

Die Gewindeschraube 237 ragt dariiberhinaus in den 
Hohlzylinder 235 hinein, auf den auBen die Spiralfeder 5 ge- 
schoben ist. Das eine Ende 52 der Spiralfeder 5 ist in der 
Dose 230 isoliert verankert, wahrend das andere. freie Ende 
51 an einer verstellbaren Zahnstange 231 aus einem nicht- 
leitenden Kunstsloff kraftschliissig anliegt, die quer zum 
Hohlzylinder 235 in einer Bohrung 2353 des Zylinderman- 
tels 2351 mit Spiel gefuhrt ist. Die Zahnstange 231 ist in 
Eingriff mit einem Ritzel 236, das in der Zylinderbohrung 
2352 drehbar angeordnet ist. Das Ritzel 236 ist mil einem 
Gewindeloch 2361 fiir die Gewindeschraube 237 versehen. 

Das Piezoelement 3 ist auf einem Trager 31 mil seinem 
einen Belag anliegend befestigl. Der Trager 31 ist als metal- 
lische Blattfeder ausgefiihrt und in der Dose 230 leilcnd be- 
festigl. 

Bei Rechtsdrehung der Gewindeschraube 237 wird die 
Zahnstange 231 durch das Ritzel 236 innerhalb des Spiels in 
der Bohrung 2353 nach auBen gedriickt und auf Grund von 
Reibung bis an einen Anschlag 232 in der Dose 230 gescho- 
ben. Bei weiterem Drehen trill ein Rulschkupplungseffekt 
ein. 

Bei Linksdrehung der Gewindeschraube 237 wird die 
Zahnstange 231 formschliissig durch das Riizel 236 erfaBt 
und von dem Anschlag 232 wegbewegt. Unterschreilet das 
dem Anschlag 232 zugewandte Ende der Zahnstange 231 
das Niveau der Spiralfeder 5, so wird das freie Ende 51 der- 
selben freigegeben und schnellt enlgegen der Uhrzeigerrich- 
tung um den Hohlzylinder 235 herum, bis es auf das in sei- 
ner Bewegungsbahn befindliche freie Ende des Piezoele- 
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mentes 3 triffi und dieses mitsamt dem Trager 31 so wait 
auslenkt und dabei kriimmt, bis es vorbeigleiten kann bis zu 
einem metallischen Anschlag 233, der in einer Isolierbuchse 
234 in der Dose 230 befestigt ist und an den eine Leiiung zu 
dem Sicherheitsmodul 1, siehe auch Fig 5, angeschlossen 5 
ist. 

Der Anschlag 233 isl ein Koniakt C des durch die Spiral- 
feder 5 gebildeten Schalters. 

Die Spiralfeder 5 ist als fester Kontakt B auBerdem stan- 
dig iiber eine durch eine weitere Isolierbuchse 234 gefiihrte lo 
elektrische Leitung mit dem PotentialanschluB des Konden- 
sators 41 verbunden, dessen anderer AnschluB mil dem 
Massekontakt A verbunden ist. Der Trager 31 und damit der 
eine Belag des Piezoelementes 3 sowie die Dose 230 und 
der OV-Eingang des Sicherheitsmoduls 1 liegen auf Masse- 15 
potential. 

Da das freie Ende 51 der Spiralfeder 50 den auBeren Be- 
lag des Piezoelementes 3 bei dessen maximaler Auslenkung 
wieder freigibi, wird auf diese Weise die maximale Piezos- 
pannung auf den Kondensator 41 geladen. 20 

Das freie Ende 51 der Spiralfeder 50 liegt bei Anlage an 
dem Anschlag 233 auflerhalb der Bewegungsbahn der 21ahn- 
stange 231 und isl demzufolge durch diese bei beliebiger 
Drehung der Gewindeschraube nicht beinfluflbar. Eine er- 
neute Auslenkung des Piezoelementes 3 ist somit auch nicht 25 
mehr moglich. 

In Fig. 5 ist die Schaltfolge gut erkennbar. Das freie Ende 
51 der Spiralfeder 5 nimmt bei Anlage an der Zahnstange 
231 die Stellung ein, die dem ofFenen Kontakt E entspricht. 
Bei Freigabe durch die Zahnstange 231 liegi das Ende 51 30 
zunachst an dem auBeren Belag des Piezoelementes 3 an, 
das entspricht der Koniaktstellung D, in der eine Verbindung 
zum Kondensator 41 hergestellt ist. SchlieBlich liegt das 
freie Ende 51 nach Verlassen des Piezoelementes 3 an dem 
Anschlag 233 an, das entspricht der Koniaktstellung C. in 35 
der der Kondensator mit dem Schreibeingang WE des Si- 
cherheitsmoduls 1 verbunden ist. 


Bezugszeichenliste 


40 


1 Sicherheitsmodul, nichtfluchtiger Speicher (NVRAM = 
non volatile random access memory) 

2 Geh^use 

21 Gehausekappe 

22 Gehauseboden 45 
221 Gewindeloch im Gehauseboden 22 

23 VerschluB des Gehauses 2 

230 Dose 

231 Zahnstange 

232 Anschlag fiir Zahnstange 231 50 

233 Anschlag fiir Ende 51 der Spiralfeder 5, Kontakt C 

234 Isolierbuchse 

235 HohlzyUnder 

2351 Zylindermantel 

2352 Zylinderbohrung 55 

2353 Bohrung fiir Zahnstange 231 

236 Riuel 

2361 Gewindeloch fiir Gewindeschraube 237 

237 Gewindeschraube 

3 Piezoelement 60 
31 Trager fiir Piezoelement 3, Blattfeder 

4 Manipulationsschaltung 
41 Kondensator 

5 Beiatigungselement fiir das Piezoelement 3, Spiralfeder 

51 freies Ende der Spiralfeder 5 65 

52 festes Ende der Spiralfeder 5 

6 Plaline 

A Massekontakt, Massebelag des Piezoelementes 3, OV- 


571 Al 

Eingang des Sicherheitsmoduls 1 

B PotentialanschluB des Kondensators 41 

C Potentialeingang des Sicherheitsmoduls 1, Schreibfrei- 

gabe (WE = write enable) 

D Potentialkontakl, Potentialbelag des Piezoelementes 3 
E offener Kontakt 

NVRAM Non Volatile Random Access Memory 
OV Null Volt 
WE Write Enable 

Patenianspriiche 

1. Anordnung fiir den ZugrifFsschutz fiir Sicherheits- 
module, dadurch gekennzeichnet, daB mindestens ein 
Sicheriieitsmodul (1) von einem Gehause (2) umgeben 
isl, dessen VerschluB (23) mechanisch mit mindestens 
einem Piezoelement (3) gekoppelt ist, das wiederum 
elektrisch mit dem Sicherheitsmodul (1) zwecks ge- 
zielter Manipulation verbunden ist. 

2. Anordnung nach Anspruch 1, dadurch gekennzeich- 
net, daB der VerschluB (23) mit einem Beiatigungsele- 
ment (5) fiir das Piezoelement (3) gekoppelt ist, das zur 
Verformung des Piezoelementes (3) bei Offnung des 
Verschlusses (23) dient. 

3. Anordnung nach Anspruch 2, dadurch gekennzeich- 
net, daB das Beiatigungselement (5) nach der Offnung 
des Verschlusses (23) und Auslosung des Piezoelemen- 
tes (3) von letzterem getrennl ist. 

4. Anordnung nach Anspruch 1, dadurch gekennzeich- 
net, daB das Piezoelement (3) mil dem Sicherheitsmo- 
dul (1) direki verbunden ist. 

5. Anordnung nach Anspruch 1, dadurch gekennzeich- 
net, daB das Piezoelement (3) iiber eine Manipulations- 
schaltung (4) mil dem Sicherheitsmodul (1) verbunden 
ist. 

6. Anordnung nach Anspruch 5, dadurch gekennzeich- 
net, daB die Manipulationsschaltung (4) aus einem 
Kondensator (41) besteht. 

7. Anordnung nach Anspruch 1 und 6, dadurch ge- 
kennzeichnet, daB der Sicherheitsmodul (1) als nicht- 
fliichiiger Speicher ausgefuhrt isl, dessen Masseein- 
gang (OV) mil einem AnschluB des Kondensators (41) 
und des Piezoelementes (3) verbunden isl. 

8. Anordnung nach Anspruch 2, dadurch gekennzeich- 
net, daB das Betatigungselement (5) zugleich als elek- 
trischer Schaller ausgebildei ist. 

9. Anordnung nach Anspruch 7 und 8, dadurch ge- 
kennzeichnet, daB das Betatigungselement (5) als Fol- 
geschalter ausgebildei isl, der nach Auslosung zu- 
nachst den Potentialbelag (D) des Piezoelementes (3) 
mit dem PotentialanschluB (B) des Kondensators (41) 
und danach diesen mit dem Schreibeingang (WE) des 
Sicherheitsmoduls (1) verbindet. 

10. Anordnung nach Anspruch 2, dadurch gekenn- 
zeichnet. daB der VerschluB (23) im wesenilichen aus 
einer metallischen Dose (230) mil einem Hohlzylinder 
(235) aus einem nichtleitenden Kunststoff und aus ei- 
ner Gewindeschraube (237) besteht und daB in der 
Dose (230) sowohl das Piezoelement (3) als auch des- 
sen Betatigungselement (5) angeordnet sind. 

11. Anordnung nach 1 und 10, dadurch gekennzeich- 
net, 

daB das Gehause (2) aus einer Gehausekappe (21), ei- 
nem Gehauseboden (22) und dem VerschluB (23) zu- 
sammengesetzt ist, 

daB die Dose (230) seitlich mit ihrer Offnung auf den 

Gehauseboden (22) aufgesetzt isl, 

daB die Gewindeschraube (237) durch die Gehause- 
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kappe (21) und den Gehauseboden (22) in den Hohlzy- 
linder (235) ragt, 

daB das Belatigungselement (5) als metallische Spiral- 
feder ausgefiihrt ist, die auBen auf den Hohlzylinder 

(235) geschoben ist und deren eines Ende (52) in der 
Dose (230) isoliert verankert ist, wahrend das andere, 
freie Ende (51) an einer verstellbaren Zahnstange (231) 
aus einem nichtleitehden Kunststoff kraftschlussig an- 
liegt, die quer zum Hohlzylinder (235) in einer Boh- 
rung (2353) des Zylindermantels (2351) niit Spiel ge- 
flihrt ist, 

daB die Zahnstange (231) in Eingriff mit einem Ritzel 

(236) steht, das in der Zylinderbohrung (2352) drehbar 
angeordnet und mit einem Gewindeloch (2361) fiir die 
Gewindeschraube (237) versehen ist, 15 
daB die Verbindung zwischen Ritzel (236) und Zahn- 
stange (231) in Richtung auf einen Anschlag (232) zu 
als Reibungs- beziehungsweise Rutschkupplung und 
von demselben weg als Zahnkupplung ausgebildet ist. 

12. Anordnung nach 10 und 11, dadurch gekennzeich- 20 
net, daB das Piezoelement (3) mit seinem einen Belag 
auf einem Trager (31) in Fonn einer metallischen Blatt- 
feder befestigl ist, der wiederum leitend in der Dose 
(230) so befestigt ist, daB das freie Ende des Piezoele- 
mentes (3) in der Bewegungsbahn des freien Endes 25 
(51) der Spiralfeder liegt. 

13. Anordnung nach Anspruch 12 und 9, dadurch ge- 
kennzeichnet, 

daB in der Bewegungsbahn des freien Endes (51) der 
Spiralfeder nach dem freien Ende des Piezoelementes 30 
(3) ein metallischer Anschlag (233) liegt, der in einer 
Isolierbuchse (234) in der Dose (230) befestigt ist und 
der als Schaltkontakt (C) elektrisch mit dem Schreib- 
eingang (WE) des Sicherheitsmoduls (1) verbunden ist 
und 55 
daB die Spiralfeder sowohl den Schaltarm als auch ei- 
nen Schaltkontakt (B) bildet der durch eine weitere Iso- 
lierbuchse (234) mit dem PotentialanschluB des Kon- 
densators (41) elektrisch verbunden ist. 
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The following Information has been taken from the documents submitted by the applicant 


Examination petition per § 44 Patent Law has been entered 

(54) Arrangement for access protection for security modules 

(57) Arrangement for access protection for security 
modules, specifically, for preventing reading out or 
unauthorized manipulation of security-related data. 
Such modules are used, for example, in ASICS in 
franking machines or in automated teller machines. 
The purpose is the improvement of the manipulation 
security. In accordance with this task, effective 
access protection is to be achieved for devices with 
security modules of any size, with purposeful 
manipulation options and doing without additional 
long-life batteries. 

In accordance with the invention, at least one security 
module 1 is surrounded by a housing 2 with a lock 23 
which is mechanically coupled with at least one piezo 
element 3, which is in turn electrically connected with 
the security module 1 for the purpose of purposeful 
manipulation of the security-related data. 
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Patent Claims 

1. Arrangement for access protection for security modules, 
characterized in that at least one security module (1) is 
surrounded by a housing (2), the lock (23) of which is 
mechanically coupled with at least one piezo element (3), 
which is in turn electrically connected with the security 
module (1) for the purpose of purposeful manipulation. 

2. Arrangement according to Claim 1 , characterized in that 
the lock (23) is coupled with an actuating element (5) for 
the piezo element (3) which is used for the deforming of 
the piezo element (3) when the lock (23) is opened. 

3. Arrangement according to Claim 2, characterized in that 
following the opening of the lock (23) and triggering of 
the piezo element (3), the actuating element (5) is 
separated from the latter. 

4. Arrangement according to Claim 1, characterized in that 
the piezo element (3) is directly connected with the 
security module (1). 

5. Arrangement according to Claim 1, characterized in that 
the piezo element (3) is connected with the security 
module (1) by means of a manipulation circuit (4). 

6. Arrangement according to Claim 5, characterized in that 
the manipulation circuit (4) consists of a capacitor (41). 

7. Arrangement according to Claims I and 6, characterized 
in that the security module (1) is executed as a non-volatile 
memory, the ground input (OV) of which is connected with 
a connection of the capacitor (41) and the piezo element 
(3). 

8. Arrangement according to Claim 2, characterized in that 
the actuating element (5) is simultaneously configured as 
an electrical switch. 

9. Arrangement according to Claims 7 and 8, characterized 
in that the actuating element (5) is configured as a 
sequence switch which, after triggering, first connects the 
potential coating (D) of the piezo element (3) with the 
potential connection (B) of the capacitor (41), and then 
connects the latter with the write input (WE) of the 
security module (1). 

10. Arrangement according to Claim 2, characterized in 
that the lock (23) consists in essence of a metallic case 
(230), with a hollow cylinder (235) made from a non- 
conductive plastic, and a threaded screw (237), and that 
both the piezo element (3) and its actuating element (5) are 
placed inside the case (230). 

11. Arrangement according to Claims 1 and 10, 
characterized in that 

the housing (2) is composed of a housing cap (21), a 
housing base (22) and the lock (23), 
that the case (230) is placed thereon with its opening to the 
side on the housing base (22), 

that the threaded screw (237) projects through the housing 



DE 198 16 571 Al 

5 

J 

cap (21) and the housing base (22) into the hollow cylinder 
(235), 

that the actuating element (5) is executed as a metallic spiral 
spring which is slipped over the outside of the hollow cylinder 
(235), and the one end (52) of which is anchored in insulated 
fashion in the case (230) while the other, free end (51) lies in 
non-positive fashion against an adjustable toothed rack (231) 
which is made from a non-conductive plastic and which is 
directed with play transversely to the hollow cylinder (235) 
inside a bore (2353) of the cylinder jacket (2351), 
that the toothed rack (231) engages with a pinion gear (236) 
which is placed in rotatable fashion inside the cylinder bore 
(2352) and which is provided with a threaded hole (2361) for 
the threaded screw (237), 

that the connection between pinion gear (236) and toothed rack 
(231) in the direction toward a limit stop (232) is configured as 
a friction or slip clutch and away from same as a denture 
clutch. 

12. Arrangement according to [Claims] 10 and 11, 
characterized in that the piezo element (3) is fastened with its 
one coating on a support (31) in the form of a metallic leaf 
spring which is in turn fastened in conductive fashion inside 
the case (230) in such a way that the free end of the piezo 
element (3) lies in the travel path of the free end (51) of the 
spiral spring. 

13. Arrangement according to Claims 12 and 9, characterized 
in that 

in the travel path of the free end (51) of the spiral spring after 
the free end of the piezo element (3) lies a metallic limit stop 
(233) which is fastened in an insulating bush (234) inside the 
case (230) and which is electrically connected as switch contact 
(C) with the write input (WE) of the security module (1) 
and 

that the spiral spring forms both the switch arm as well as the 
switch contact (B) which is electrically connected via an 
additional insulating bush (234) with the potential connection 
of the capacitor (41). 


In addition, 3 page(s) of drawings 
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